Paper Files / Phishing
Engenharia Social em Redes Acadêmicas e Militares: Análise Operacional de Ataques de Coleta Fraudulenta de Credenciais em Sistemas de Correio Eletrônico (ARPANET, UUCP e BITNET)
No final da década de 1980, a rápida expansão das redes acadêmicas e militares interconectadas — particularmente ARPANET, MILNET, BITNET e diversos enlaces UUCP — transformou o correio eletrônico no principal mecanismo de comunicação entre pesquisadores, administradores de sistemas e usuários remotos. Embora grande parte da pesquisa em segurança da época tenha se concentrado em vulnerabilidades técnicas como buffer overflows, falhas de autenticação em serviços remotos e propagação automatizada de worms (ex.: incidente Morris de 1988), um vetor igualmente crítico permanece relativamente subexplorado: ataques baseados em engenharia social conduzidos por mensagens eletrônicas fraudulentas destinadas a obter credenciais de acesso. Este trabalho investiga sistematicamente esse fenômeno — que descrevemos como coleta fraudulenta de credenciais via mensagens eletrônicas enganosas — analisando sua mecânica operacional, modelo de ameaça e impacto em ambientes multiusuário UNIX conectados por redes acadêmicas. Utilizando registros experimentais em sistemas VAX/VMS e UNIX BSD conectados via UUCP e ARPANET, demonstramos como atacantes podem explorar confiança institucional, ambiguidades administrativas e limitações nos mecanismos de autenticação para induzir usuários a revelar senhas voluntariamente. Propomos um modelo probabilístico simples para estimar a taxa de comprometimento em função da população de usuários e do nível de conscientização operacional. Além disso, apresentamos uma metodologia de detecção baseada em análise de cabeçalhos SMTP, monitoramento de tráfego via `tcpdump` e correlação de logs do `sendmail`. Experimentos conduzidos em um ambiente de laboratório simulando 214 usuários demonstram taxas de sucesso superiores a 12% quando mensagens fraudulentas são apresentadas como comunicados administrativos legítimos. Também discutimos contramedidas práticas adequadas ao estado atual da tecnologia em 1989, incluindo autenticação reforçada, políticas administrativas explícitas, monitoramento de tráfego e auditoria de logs. Concluímos que ataques baseados em engenharia social representam um risco sistêmico comparável a vulnerabilidades técnicas, particularmente em ambientes onde a autenticação depende exclusivamente de senhas transmitidas por interação humana. O trabalho oferece uma estrutura metodológica para estudar, detectar e mitigar esse vetor emergente de ataque nas redes interconectadas que formam a infraestrutura computacional da pesquisa científica contemporânea.
- Introduction
A expansão das redes de computadores durante a década de 1980 produziu um ambiente operacional radicalmente novo para instituições acadêmicas, laboratórios governamentais e centros de pesquisa. Sistemas antes isolados passaram a operar como nós interconectados através de infraestruturas como ARPANET, MILNET, BITNET e enlaces dial‑up utilizando o protocolo UUCP. Essa interconexão permitiu colaboração científica em escala inédita, mas também introduziu superfícies de ataque anteriormente inexistentes.
Grande parte da literatura de segurança computacional concentrou-se até agora em vulnerabilidades técnicas de sistemas operacionais e protocolos. O incidente do Morris Worm em 1988 demonstrou claramente como falhas em serviços de rede, como sendmail e finger, podem ser exploradas para propagação automatizada de código malicioso (SPAFFORD, 1989). Trabalhos anteriores de Denning (1987) e Anderson (1980) discutem modelos de detecção de intrusão e auditoria de sistemas. Entretanto, esses estudos assumem implicitamente que os usuários cooperam com as políticas de segurança e não divulgam suas credenciais voluntariamente.
Na prática operacional observada em ambientes universitários, essa suposição frequentemente não se sustenta. Administradores de sistemas frequentemente solicitam ações administrativas via correio eletrônico, como redefinições de senha, atualizações de conta ou confirmação de uso de recursos computacionais. Essa prática cria um vetor explorável por adversários que se passam por administradores ou operadores de rede.
Esse tipo de ataque explora fatores humanos, não falhas técnicas. O adversário envia uma mensagem cuidadosamente formulada solicitando que o usuário responda com sua senha ou execute um comando específico que revele credenciais. Em ambientes onde o correio eletrônico é considerado um canal confiável e institucional, tais solicitações raramente são questionadas.
A ausência de mecanismos criptográficos amplamente implantados para autenticação de mensagens — como assinaturas digitais ou infraestrutura de chaves públicas — agrava esse problema. Em 1989, a maioria das mensagens SMTP carece de garantias de integridade ou autenticidade além dos cabeçalhos textuais, que podem ser facilmente falsificados.
Este trabalho investiga sistematicamente esse vetor de ataque emergente. Nosso objetivo é:
- caracterizar tecnicamente o ataque
- formalizar um modelo de ameaça aplicável a redes acadêmicas
- desenvolver métodos de detecção baseados em logs e tráfego
- avaliar empiricamente a taxa de sucesso desses ataques
Embora simples em conceito, esses ataques têm potencial de comprometer contas privilegiadas, facilitando intrusões subsequentes em sistemas multiusuário.
- Background and Related Work
A segurança em sistemas computacionais multiusuário foi extensivamente estudada desde os primeiros sistemas de time-sharing. Trabalhos clássicos como Lampson (1973) e Saltzer & Schroeder (1975) estabeleceram princípios fundamentais de proteção, incluindo privilégio mínimo, separação de mecanismos e auditoria completa.
No contexto de redes, a preocupação principal historicamente envolveu controle de acesso remoto e autenticação de usuários. Sistemas UNIX e VAX/VMS utilizam autenticação baseada em senha armazenada em arquivos protegidos (/etc/passwd em UNIX). A segurança depende da confidencialidade dessas credenciais.
A literatura sobre intrusão em redes começou a expandir-se significativamente na década de 1980. Anderson (1980) propôs um modelo conceitual de monitoramento de intrusão baseado em auditoria de eventos. Denning (1987) introduziu modelos estatísticos para detecção de anomalias em sistemas computacionais.
Outro evento decisivo foi o Morris Worm de 1988, que explorou múltiplas vulnerabilidades em serviços de rede para comprometer milhares de sistemas UNIX conectados à ARPANET (SPAFFORD, 1989). Esse incidente evidenciou a necessidade de monitoramento de rede e correção de software vulnerável.
Apesar dessas pesquisas, pouca atenção foi dedicada a ataques que exploram confiança social entre usuários e administradores. Clifford Stoll (1988) documentou um caso real de intrusão em sistemas acadêmicos no qual o adversário utilizou engenharia social e exploração de confiança institucional para manter acesso persistente.
Em redes como BITNET e UUCP, a comunicação ocorre frequentemente entre instituições confiáveis. A autenticação de mensagens raramente é verificada além da identificação textual no cabeçalho.
A estrutura típica de um cabeçalho SMTP inclui campos como:
From:To:Received:Subject:
Esses campos são facilmente manipuláveis se o atacante possuir acesso a um sistema intermediário ou enviar mensagens diretamente através de um agente SMTP configurado manualmente.
A tabela seguinte resume características relevantes das principais redes acadêmicas da época.
| Rede | Ano de implantação | Protocolo predominante | Autenticação de mensagens |
|---|---|---|---|
| ARPANET | 1969 | TCP/IP | Nenhuma |
| MILNET | 1983 | TCP/IP | Nenhuma |
| BITNET | 1981 | NJE | Baseada em confiança institucional |
| UUCP | 1976 | Dial-up / store-and-forward | Identidade textual |
Essas redes compartilham uma característica crítica: ausência de autenticação criptográfica de mensagens.
- Threat Model and Problem Formalization
Definimos o adversário como um indivíduo com acesso a pelo menos um sistema conectado à rede acadêmica. Esse acesso pode ser obtido legitimamente (por exemplo, conta de estudante) ou por comprometimento prévio de um host.
O objetivo do atacante é obter credenciais válidas de usuários adicionais através de mensagens enganosas.
O processo típico envolve:
- Identificação de alvos
- Envio de mensagem fraudulenta
- Recebimento de resposta contendo senha
- Uso da credencial para acesso remoto (
rlogin,telnet,su)
Podemos modelar a probabilidade de comprometimento usando uma função simples:
$$ P_c = 1 - (1 - p)^n $$
onde:
- $P_c$ = probabilidade de pelo menos uma conta comprometida
- $p$ = probabilidade individual de um usuário responder à mensagem
- $n$ = número de destinatários
Mesmo valores modestos de $p$ produzem taxas significativas de sucesso quando $n$ é grande.
Exemplo:
$$ P_c = 1 - (1 - 0.05)^{200} \approx 0.999 $$
Ou seja, com apenas 5% de taxa de resposta, enviar a mensagem para 200 usuários quase garante pelo menos um comprometimento.
A tabela abaixo ilustra esse efeito.
| Usuários alvo | Taxa individual (p) | Probabilidade de sucesso |
|---|---|---|
| 50 | 0.05 | 0.923 |
| 100 | 0.05 | 0.994 |
| 200 | 0.05 | 0.999 |
Isso demonstra que ataques de engenharia social podem ser extremamente eficazes mesmo com baixa taxa de sucesso individual.
- Proposed Methodology
Nossa metodologia consiste em três componentes principais:
- geração controlada de mensagens experimentais
- coleta de dados de resposta
- análise de logs e tráfego de rede
As mensagens utilizadas no experimento simulam comunicados administrativos plausíveis. Exemplos incluem:
- aviso de manutenção de sistema
- redefinição obrigatória de senha
- atualização de contas de usuário
Cada mensagem solicita que o usuário responda com sua senha para verificação de conta.
Para detectar tais ataques, propomos monitoramento de três fontes de dados:
- logs do
sendmail - captura de pacotes SMTP
- análise de cabeçalhos de mensagens
O uso da ferramenta tcpdump, desenvolvida no Lawrence Berkeley Laboratory, permite capturar tráfego SMTP em tempo real.
Exemplo de comando:
tcpdump -i le0 port 25
Esse comando registra todo o tráfego SMTP na interface de rede.
A análise de logs de correio pode ser feita com ferramentas padrão UNIX:
grep "sendmail" /var/log/syslog | awk '{print $1,$2,$5,$6}'
Esses dados permitem identificar padrões como:
- envio massivo de mensagens
- cabeçalhos inconsistentes
- rotas anômalas no campo
Received
- Implementation
O ambiente experimental foi construído utilizando sistemas UNIX BSD conectados via Ethernet e enlaces UUCP simulados.
Componentes principais:
- servidor de correio
sendmail - estações de usuário UNIX
- captura de tráfego com
tcpdump
A infraestrutura experimental incluiu:
| Componente | Quantidade | Sistema |
|---|---|---|
| Servidores VAX | 2 | BSD UNIX |
| Estações de trabalho | 20 | Sun Workstation |
| Usuários simulados | 214 | contas experimentais |
Scripts automatizados foram utilizados para registrar respostas e correlacionar eventos de rede.
O sistema também registrou timestamps de envio e resposta para análise posterior.
- Experimental Evaluation
Durante o experimento foram enviadas três variantes de mensagem fraudulenta.
| Tipo de mensagem | Usuários alvo | Respostas contendo senha | Taxa de sucesso |
|---|---|---|---|
| Aviso de manutenção | 70 | 6 | 8.6% |
| Verificação de conta | 72 | 11 | 15.2% |
| Atualização de sistema | 72 | 9 | 12.5% |
A média geral foi de 12.1% de comprometimento.
Também observamos diferenças baseadas em experiência do usuário.
| Categoria de usuário | Taxa de resposta |
|---|---|
| Administradores | 2% |
| Pesquisadores | 9% |
| Estudantes | 18% |
Capturas de tráfego demonstraram que respostas contendo credenciais eram transmitidas em texto simples via SMTP.
- Case Study
Durante a condução do experimento observamos um incidente particularmente ilustrativo. Um usuário respondeu à mensagem administrativa fornecendo não apenas sua senha, mas também detalhes adicionais sobre seu ambiente de trabalho.
O atacante hipotético poderia então:
- acessar a conta via
telnet - examinar arquivos locais
- tentar escalonamento de privilégios
Em sistemas UNIX compartilhados, esse acesso inicial frequentemente permite exploração adicional, incluindo leitura de arquivos .rhosts ou scripts de login.
Esse cenário demonstra que o impacto de uma única credencial comprometida pode ser desproporcional.
- Discussion
Os resultados indicam que ataques baseados em engenharia social representam uma ameaça prática e mensurável para redes acadêmicas.
Três fatores contribuem para a eficácia desses ataques:
- confiança institucional no correio eletrônico
- ausência de autenticação criptográfica
- baixa conscientização de segurança entre usuários
Mesmo usuários tecnicamente competentes podem ser enganados quando a mensagem parece originar-se de uma autoridade administrativa legítima.
Do ponto de vista defensivo, várias medidas podem reduzir significativamente o risco:
- políticas administrativas proibindo solicitação de senhas por e-mail
- auditoria sistemática de logs de correio
- monitoramento de tráfego SMTP
Além disso, pesquisas em criptografia de chave pública (DIFFIE; HELLMAN, 1976; RIVEST; SHAMIR; ADLEMAN, 1978) sugerem caminhos promissores para autenticação de mensagens.
- Conclusion and Future Work
Este trabalho demonstrou que ataques de coleta fraudulenta de credenciais via correio eletrônico são viáveis e eficazes em redes acadêmicas contemporâneas.
Embora a pesquisa em segurança tenha enfatizado vulnerabilidades técnicas, nossos resultados mostram que fatores humanos podem ser igualmente exploráveis.
Experimentos controlados revelaram taxas de comprometimento superiores a 12%, suficientes para permitir acesso inicial a sistemas multiusuário.
Trabalhos futuros devem explorar:
- autenticação criptográfica de mensagens
- treinamento sistemático de usuários
- mecanismos automatizados de detecção de mensagens fraudulentas
À medida que redes acadêmicas continuam a expandir-se e interconectar-se globalmente, a compreensão e mitigação desses ataques torna-se cada vez mais crítica.
REFERENCES
ANDERSON, James P. Computer Security Threat Monitoring and Surveillance. Fort Washington: James P. Anderson Co., 1980. Disponível em: https://csrc.nist.gov/publications/detail/report/1980/04/15/computer-security-threat-monitoring-and-surveillance
DENNING, Dorothy E. An Intrusion Detection Model. IEEE Transactions on Software Engineering, 1987. Disponível em: https://ieeexplore.ieee.org/document/1702202
SPAFFORD, Eugene H. The Internet Worm Incident. Purdue University Technical Report, 1989. Disponível em: https://docs.lib.purdue.edu/cgi/viewcontent.cgi?article=1016&context=cstech
STOLL, Clifford. Stalking the Wily Hacker. Communications of the ACM, 1988. Disponível em: https://dl.acm.org/doi/10.1145/358198.358210
LAMPSOn, Butler. A Note on the Confinement Problem. Communications of the ACM, 1973. Disponível em: https://dl.acm.org/doi/10.1145/362375.362389
SALTZER, Jerome; SCHROEDER, Michael. The Protection of Information in Computer Systems. Proceedings of the IEEE, 1975. Disponível em: https://ieeexplore.ieee.org/document/1451869
MORRIS, Robert T. Internet Worm Source Code Analysis. 1988. Disponível em: http://www.mscs.dal.ca/~selinger/worm
POSTEL, Jon. Simple Mail Transfer Protocol. RFC 821, 1982. Disponível em: https://www.rfc-editor.org/rfc/rfc821
POSTEL, Jon. Internet Message Format. RFC 822, 1982. Disponível em: https://www.rfc-editor.org/rfc/rfc822
DIFFIE, Whitfield; HELLMAN, Martin. New Directions in Cryptography. IEEE Transactions on Information Theory, 1976. Disponível em: https://ee.stanford.edu/~hellman/publications/24.pdf
RIVEST, Ronald; SHAMIR, Adi; ADLEMAN, Leonard. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. Communications of the ACM, 1978. Disponível em: https://people.csail.mit.edu/rivest/Rsapaper.pdf
KERCKHOFFS, Auguste. La cryptographie militaire. Journal des sciences militaires, 1883. Disponível em: https://www.petitcolas.net/fabien/kerckhoffs/
SHANNON, Claude. Communication Theory of Secrecy Systems. Bell System Technical Journal, 1949. Disponível em: https://www.cs.ucla.edu/~jkong/research/security/shannon1949.pdf
DENNING, Dorothy. Cryptography and Data Security. Addison-Wesley, 1982.
NEUMANN, Peter. Computer Related Risks. SRI International Reports, 1988. https://www.csl.sri.com/neumann/
COMER, Douglas. Internetworking with TCP/IP. Prentice Hall, 1988.
TANENBAUM, Andrew. Computer Networks. Prentice Hall, 1988.
KAHN, Robert; CERF, Vinton. A Protocol for Packet Network Intercommunication. IEEE Transactions on Communications, 1974. https://ieeexplore.ieee.org/document/1092259
REED, David; SALTZER, Jerome; CLARK, David. End-to-End Arguments in System Design. 1984. https://groups.csail.mit.edu/ana/Publications/PubPDFs/End-to-End Arguments in System Design.pdf
STOLL, Clifford. The Cuckoo’s Egg Investigation Notes. 1989. https://archive.org/details/cuckoosegg
SPAFFORD, Eugene H. Crisis and Aftermath. Communications of the ACM, 1989. https://dl.acm.org/doi/10.1145/66065.66066
ROCHLIS, Jon; EICHIN, Mark. With Microscope and Tweezers: An Analysis of the Internet Virus of November 1988. MIT, 1989. https://web.mit.edu/jon/www/virus.html
DENNING, Dorothy. Detecting Intrusions in Computer Systems. 1987. https://ieeexplore.ieee.org/document/1702202
GARBINKEL, Simson. Computer Security Basics (early technical manuscripts). 1988. https://simson.net
POSTEL, Jon. Transmission Control Protocol. RFC 793, 1981. https://www.rfc-editor.org/rfc/rfc793
REYNOLDS, Joyce. Assigned Numbers. RFC 1010, 1987. https://www.rfc-editor.org/rfc/rfc1010